De la ”honeypot” la ”deception”

Să spun că asigurarea securității cibernetice înseamnă o amestecătură de soluții tehnice și procese care diferă de la caz la caz și care costă, este un truism. Să spun că piața este plină de soluții comerciale și open-source din care pare dificil de ales, iarăși este un truism. În mod tradițional, scopul principal al unui…

Mai sînt 2 ani?

Explicația cel mai des auzită în ultimul timp cu privire la auditul pe legea NIS: ”mai este timp”. Așa este, auditul extern se realizează la interval de 2 ani (în cazul celor mai mulți OSE). Dar, pînă la acest audit, managementul OSE trebuie să execute anual anumite activități care sînt revizuite de către auditor: Legea…

Evaluarea riscurilor: un formalism consumator de timp? (Continuare)

În Regulamentul din 22 martie 2021 pentru atestarea și verificarea auditorilor de securitate cibernetică, în Anexa 7 există o cerință: Se va verifica și opina cu privire la plauzibilitatea metodologiei/tehnicilor utilizate, precum și asupra măsurilor de control implementate în vederea gestionării riscurilor operaționale identificate. În general, o ”metodologie de management al riscurilor” include: un proces…

Evaluarea riscurilor: un formalism consumator de timp?

În prezentarea de la Eset Security Days am pornit de la opinia mea: multe din cele ce se fac sau ar trebui făcute în practică în domeniul securității cibernetice își au rădăcina în zona militară. De ce? Pentru că ”armata” înseamnă rigoare (regulamente/proceduri), ierarhie și disciplină (RACI), management de risc și chiar ”zero trust”, iar…

CE NU ESTE AUDITUL IMPUS DE DNSC?

Răspunsul cel mai scurt: nu înseamnă bife puse în diferite liste de verificare și documente/raport pentru a trece de controlul (formalismul) DNSC, raport în care se scrie că dacă ”X nu există” atunci ”copy-paste din Ordinul 1323”. Auditul impus de DNSC (audit de conformitate) este o cerință legală dar este și instrumentul prin care OSE…